Hébergement de données de santé (HDS) : ce que vérifier

L'hébergement de données de santé (HDS) désigne le fait de confier à un prestataire extérieur le stockage et la conservation de données de santé de patients. L'article L.1111-8 du Code de la santé publique impose alors que ce prestataire soit agréé ou certifié pour l'hébergement, le stockage et la conservation de ces données. Pour un cabinet, la règle concerne le logiciel de dossiers patients hébergé chez l'éditeur, la plateforme de rendez-vous en ligne, la permanence téléphonique externe et tout outil en ligne qui garde des données de santé.

Les prestataires concernés, selon la CNIL

Le référentiel de la Commission nationale de l'informatique et des libertés (CNIL) sur les cabinets médicaux et paramédicaux vise le cas où :

• le logiciel de gestion des dossiers patients est accessible à distance et hébergé par un prestataire, en général l'éditeur ;
• une plateforme de prise de rendez-vous en ligne ou de télémédecine conserve les données ;
• le stockage est confié à un prestataire de sauvegarde ou de permanence téléphonique.

Dans ces cas, le prestataire doit être hébergeur agréé ou certifié conformément à l'article L.1111-8. Le guide de l'Ordre des médecins et de la CNIL (édition juin 2018) ajoute qu'une plateforme de rendez-vous qui héberge des données de santé issues de la prise de rendez-vous doit faire appel à un hébergeur agréé ou certifié.

Ce qui l'accompagne toujours

• Un contrat de sous-traitance (article 28 du règlement général sur la protection des données) : le prestataire ne traite les données que sur instruction, fait signer des engagements de confidentialité, prévient en cas d'incident, restitue ou supprime les données à la fin.
• La vérification du niveau de sécurité, que la CNIL demande en cas de recours à un hébergeur agréé ou certifié.
• Les échanges : la CNIL juge que la messagerie électronique et le fax ne sont pas a priori des moyens sûrs pour transmettre des données de santé, et recommande une messagerie sécurisée ; entre professionnels de santé, le guide de l'Ordre et de la CNIL renvoie à la messagerie sécurisée de santé.

La question à poser pour un assistant IA

Avant de mettre un assistant sur le site ou à l'accueil, demandez au prestataire, par écrit : où sont stockées les conversations, combien de temps, et le prestataire (ou son hébergeur) est-il agréé ou certifié pour les données de santé ? Même si l'assistant est conçu pour ne parler que d'organisation, un patient peut écrire un symptôme. La façon la plus sûre reste de limiter l'assistant aux questions pratiques et de ne collecter aucune donnée de santé. Voir RGPD au cabinet.

Les modalités de certification en vigueur ne sont pas détaillées dans les documents de la CNIL cités ici. Le référentiel renvoie, pour la sécurité, aux référentiels publiés sur esante.gouv.fr, le site de l'Agence du numérique en santé : c'est là qu'il faut vérifier le statut d'un hébergeur avant de signer.